Вижу, мой посыл требует уточнения.
Я не против (а даже за) открытого кода, и не топлю за закрытый.
Я против:
- использования кода от анонимов - потому что никакой ответственности и (скорее всего) никто не проверяет изменения;
- размытия ответственности (как например, установка 100500 пакетов зависимостей при установке чего-то более-менее большого с npm). тут проблема в том, что часть из 100500 пакетов будут от анонимов (с соответствующими рисками). кроме того, вероятность захвата репы злоумышленником возрастает кратно их количеству.
То есть, самое безопасное - это когда в одном продукте используется код только из одного верифицированного неанонимного источника.
Сравним:
1) Коммерческая IDE, у которой весь код написан в одном месте. Либо также поддерживаются внешние плагины, но они распространяются через их сервер, куда попадают после ручной проверки.
2) Мой vim с 20 плагинами из 20 разных реп, 5 из которых принадлежат анонимам.
Думаю, не сильно ошибусь, если скажу, что второй вариант в ~25 раз менее безопасен. Потому что реп 20, вероятность получения доступа хоть к одной из них в 20 раз выше, чем просто к одной. Плюс один из 5 анонимов может решить поиметь своих юзеров, раз уж ничем не рискует.